搜索

[13885] 2019-03-19_SIEM中心日志节点WEF搭建说明

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-03-19_SIEM中心日志节点WEF搭建说明 S I E M 中 心 日 志 节 点 W E F 搭 建 说 明 m r . a n d e r s o n   F r e e B u f   2 0 1 9 - 0 3 - 1 9 背 景 介 绍 背 景 介 绍 在 在   S I E M   （ 安 全 应 急 事 件 管 理 ） （ 安 全 应 急 事 件 管 理 ）   搭 建 中 ， 日 志 是 及 其 重 要 的 一 环 。 对 于 黑 客 掌 上 的 明 珠 搭 建 中 ， 日 志 是 及 其 重 要 的 一 环 。 对 于 黑 客 掌 上 的 明 珠 — — 域 控 ， 域 控 ，   它 的 日 志 它 的 日 志 监 控 是 非 常 重 要 的 ， 本 文 将 介 绍 如 何 通 过 监 控 是 非 常 重 要 的 ， 本 文 将 介 绍 如 何 通 过   W E F ( W i n d o w s   E v e n t   F o r w a r d i n g )   将 将 w i n d o w s   主 机 日 志 汇 总 到 一 台 主 机 日 志 汇 总 到 一 台 中 心 节 点 ， 并 输 入 到 中 心 节 点 ， 并 输 入 到 E l a s t i c S e a r c h   ， 最 后 通 过 ， 最 后 通 过 K i b a n a   的 展 示 。 的 展 示 。 此 架 构 的 优 点 ： 查 询 快 速 ； 通 过 调 用 E S 可 以 实 现 安 全 事 件 实 时 监 控 。 W i n d o w s   W E F   环 境 配 置 环 境 配 置 W i n d o w s   E v e n t   F o r w a r d i n g   在 w i n d o w s   2 0 0 8 时 就 已 经 启 用 ， 主 要 用 于 日 志 中 心 化 收 集 和 转 储 ， 好 处 很 多 。 运 行 必 要 条 件 运 行 必 要 条 件 一 台 在 域 控 中 的 日 志 收 集 节 点   （ s e r v e r   端 ） ； 任 意 一 台 需 要 发 送 到 日 志 中 心 节 点 的 域 内 主 机   （ c l i e n t   端 ） ； 一 个 域 控 管 理 员 权 限 用 户 ； C l i e n t   端 的 日 志 读 取 账 户 权 限 需 要 开 启 n e t w o r k   s e r v i c e s   权 限 ； 防 火 墙 对 域 内 的 5 9 8 5 / 5 9 8 6 端 口 白 名 单 ， 用 于 日 志 传 输 。 架 构 介 绍 架 构 介 绍 w i n d o w s   的 日 志 转 发 有 两 种 方 式 ： 收 集 器 已 启 动 ； 源 计 算 机 已 启 动 。 考 虑 到 安 全 性 ， 可 以 选 择 源 计 算 机 已 启 动 ， 好 处 是 只 需 要 开 启 域 控 到 收 集 端 的 访 问 ， 无 需 在 域 控 中 添 加 账 户 。 一 旦 收 集 端 出 现 安 全 风 险 ， 在 防 火 墙 配 置 正 确 的 前 提 下 ， 也 不 会 影 响 任 何 域 控 ， 此 文 将 按 照 源 计 算 机 已 启 动 为 方 法 做 介 绍 ， 其 中 角 色 ： c l i e n t   日 志 发 送 方 ； s e r v e r   日 志 收 集 方 。 C l i e n t   端 配 置 端 配 置 C l i e n t   的 的   s e c u r i t y   l o g   权 限 查 询 和 添 加 权 限 查 询 和 添 加 使 用 管 理 员 权 限 打 开   p o w e r s h e l l   ， 运 行 如 下 命 令 ：
该 命 令 是 用 于 检 查 s e c u r i t y   日 志 读 取 权 限 是 否 允 许 n e t w o r k   s e r v i c e   读 取 。 返 回 应 该 是 如 下 内 容 则 配 置 成 功 ： 如 果 缺 少   ( A ; ; 0 x 1 ; ; ; N S )   表 示 n e t w o r k   s e r v i c e   权 限 没 有 加 到 s e c u r i t y   日 志 项 中 。 需 要 单 独 添 加 ， 添 加 前 记 得 先 将 结 果 保 存 后 ， 然 后 追 加   n e t w o r k   s e r v i c e 权 限 。 C l i e n t   的 的   s e c u r i t y   日 志 的 日 志 的   n e t w o r k   权 限 添 加 权 限 添 加 组 策 略 - >   计 算 机 配 置   - >   管 理 模 板   - >   w i n d o w s   组 件   - >   事 件 日 志 服 务 器   - >   安 全 - >   配 置 日 志 访 问 然 后 双 击 后 ， 选 择 已 启 用 ， 将   w e v t u t i l   g l   s e c u r i t y   中 的 值 和 ( A ; ; 0 x 1 ; ; ; N S ) 加 入 到 配 置 项 中   ， 如 C l i e n t   的 发 送 目 标 配 置 的 发 送 目 标 配 置 组 策 略 - >   计 算 机 配 置   - >   管 理 模 板   - >   w i n d o w s   组 件   - >   事 件 转 发   - >   配 置 目 标 订 阅 管 理 器 （ 即 就 是 我 们 的 s e r v e r 端 地 址 ） 选 择 已 启 用 ， 并 输 入 ： w e v t u t i l   g l   s e c u r i t y P S   C : W i n d o w s s y s t e m 3 2 >     w e v t u t i l   g l   s e c u r i t y . . . c h a n n e l A c c e s s :   O : B A G : S Y D : ( A ; ; 0 x f 0 0 0 5 ; ; ; S Y ) ( A ; ; 0 x 5 ; ; ; B A ) ( A ; ; 0 x 1 ; ; ; S - 1 - 5 - 3 2 - 5 7 3 ) ( A ; ; 0 x 1 ; ; ; N S O : B A G : S Y D : ( A ; ; 0 x f 0 0 0 5 ; ; ; S Y ) ( A ; ; 0 x 5 ; ; ; B A ) ( A ; ; 0 x 1 ; ; ; S - 1 - 5 - 3 2 - 5 7 3 ) ( A ; ; 0 x 1 ; ; ; N S ) S e r v e r = h t t p : / / l o g c e n t r a . d o m a i n . c o m : 5 9 8 5 / w s m a n / S u b s c r i p t i o n M a n a g e r / W E C
S e r v e r   端 配 置 端 配 置 打 开 日 志 收 集 项 打 开 日 志 收 集 项 使 用 管 理 员 权 限 打 开 p o w e r s h e l l   或 c m d   ， 运 行 w i n r m   q c W i n R M   服 务 ， 并 激 活 日 志 收 集 项 ： 运 行 成 功 后 你 会 看 到 5 9 8 5   5 9 8 6 端 口 打 开 。 配 置 日 志 接 收 项 和 接 收 的 计 算 机 配 置 日 志 接 收 项 和 接 收 的 计 算 机 打 开 事 件 查 看 器 ， 并 选 择 左 侧 订 阅 ：
选 择 右 侧 的 创 建 订 阅 ， 并 选 择 你 感 兴 趣 的 i t e m 项 。

选 择 添 加 刚 刚 配 置 的 域 计 算 机 ， 并 输 入 计 算 机 名 即 完 成 日 志 接 收 端 配 置 。 转 发 错 误 的 日 志 查 看 转 发 错 误 的 日 志 查 看 上 述 已 经 将 整 个 日 志 转 发 流 程 配 置 完 成 了 ， 但 是 肯 定 有 疏 漏 的 地 方 ， 如 果 想 要 排 错 ， 建 议 在   c l i e n t   端 的 日 志 发 起 方 查 看 日 志 ， 查 看 位 置 在 ： 事 件 管 理 器   - >   应 用 程 序 和 服 务 日 志   - >   M i c r o s o f t   - >   w i n d o w s   - >   E v e n t l o g - f o r w a r d i n g P l u g i n 其 他 命 令 命 令 行 导 入 自 定 义 订 阅 日 志 规 则 ： W i n d o w s   下 的 下 的   n x l o g   转 发 配 置 转 发 配 置 n x l o g   [ h t t p s : / / n x l o g . c o /   ]   是 用 于 将 w i n d o w s   日 志 j s o n   化 以 后 转 发 到   E S   或 者   L o g s t a s h   的 开 源 工 具 。 其 中 的 关 键 配 置 分 为 输 入 端 和 输 出 端 ， 输 入 端 当 然 是 w i n d o w s   的 事 件 日 志 ， 由 于 我 们 是 转 发 日 志 ， 所 以 需 要 在   S e l e c t P a t h   输 入   F o r w a r d e d E v e n t s 。 输 入 端 ： w e c u t i l   c s   D o m a i n C o m p u t e r s . x m l w e c u t i l   c s   D o m a i n C o n t r o l l e r s . x m l
输 出 端 用 于 将 日 志 输 出 到 制 定 服 务 ， 该 实 例 是 将 日 志 输 出 到   l o g s t a s h 。 输 出 端 配 置 ： 可 以 看 到 日 志 传 输 是 使 用 自 签 发 证 书 加 密 的 ， 保 证 了 日 志 传 输 安 全 性 。 l o g s t a s h   日 志 配 置 日 志 配 置 N x l o g   和 和   L o g s t a s h   的 加 密 证 书 配 置 命 令 的 加 密 证 书 配 置 命 令 c a   私 钥 生 成 私 钥 生 成 签 发 个 人 签 发 个 人   C A < I n p u t   i n >     M o d u l e             i m _ m s v i s t a l o g         E x e c           t o _ j s o n ( ) ;         Q u e r y         < Q u e r y L i s t >                                                 < Q u e r y   I d = " 0 " >                                         S e l e c t   P a t h = " F o r w a r d e d E v e n t s " > * < / S e l e c t >                                         < / Q u e r y >                 < / Q u e r y L i s t > < / I n p u t > < O u t p u t   o u t >     M o d u l e   o m _ s s l     H o s t   I P _ A d d r e s s     P o r t   P o r t _ N u m b e r     C a F i l e   % R O O T % c e r t c a . p e m     O u t p u t T y p e   L i n e B a s e d < / O u t p u t > < O u t p u t   o u t _ d e b u g >         M o d u l e         o m _ f i l e         F i l e         " C : n x l o g _ d e b u g . l o g " < / O u t p u t > i n p u t   {     t c p   {                 p o r t   = >   P o r t                 t y p e   = >   " n x l o g s "                 s s l _ c e r t   = >   " / e t c / l o g s t a s h / c o n f . d / s s l / l o g s t a s h . c r t "                 s s l _ k e y   = >   " / e t c / l o g s t a s h / c o n f . d / s s l / l o g s t a s h . k e y "                 s s l _ e x t r a _ c h a i n _ c e r t s   = >   [ " / e t c / l o g s t a s h / c o n f . d / s s l / c a . p e m " ]                 s s l _ v e r i f y   = >   f a l s e                 s s l _ e n a b l e   = >   t r u e                 c o d e c   = >   ' j s o n '         } } f i l t e r {                 i f   [ t y p e ]   = =   " n x l o g s "   {                     d a t e   {                             m a t c h   = >   [ " [ E v e n t T i m e ] " ,   " Y Y Y Y - M M - d d   H H : m m : s s " ]                     }                 } } o u t p u t {                 # s t d o u t { }   e l a s t i c s e a r c h   {                 h o s t s   = >   [ " I P : P O R T " ]                 i n d e x   = >   " a d - m o n i t o r - % { + Y Y Y Y . M M . d d } "                 u s e r   = >   " n a m e "                 p a s s w o r d   = >   " p a s s w o r d "   } } o p e n s s l   g e n r s a   - o u t   c a . k e y   2 0 4 8
创 建 创 建   l o g s t a s h   的 私 钥 的 私 钥 创 建 创 建   l o g s t a s h   的 证 书 申 请 的 证 书 申 请 使 用   c a   证 书 去 前 方 刚 刚 创 建 的 l o g s t a s h   证 书 申 请 并 生 成 证 书 ， 过 期 时 间 为 1 0 年 （ 不 安 全 ， 但 是 方 便 ） K i b a n a   展 示 结 果 展 示 结 果 参 考 参 考 基 础 搭 建 指 南 和 规 则 文 件 的 命 令 行 导 入 ： h t t p s : / / b l o g s . t e c h n e t . m i c r o s o f t . c o m / j e p a y n e / 2 0 1 5 / 1 1 / 2 3 / m o n i t o r i n g - w h a t - m a t t e r s - w i n d o w s - e v e n t - f o r w a r d i n g - f o r - e v e r y o n e - e v e n - i f - y o u - a l r e a d y - h a v e - a - s i e m / 介 绍 在 日 志 收 集 端 常 见 的 规 则 导 入 脚 本 ： h t t p s : / / h a c k e r n o o n . c o m / t h e - w i n d o w s - e v e n t - f o r w a r d i n g - s u r v i v a l - g u i d e - 2 0 1 0 d b 7 a 6 8 c 4 日 志 转 发 收 集 内 容 基 线 h t t p s : / / g i t h u b . c o m / n s a c y b e r / E v e n t - F o r w a r d i n g - G u i d a n c e * 本 文 作 者 ： m r . a n d e r s o n ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 o p e n s s l   r e q   - x 5 0 9   - n e w   - n o d e s   - k e y   c a . k e y   - s h a 2 5 6   - d a y s   3 6 5 0   - o u t   c a . p e m o p e n s s l   g e n r s a   - o u t   l o g s t a s h . k e y   2 0 4 8 o p e n s s l   r e q   - n e w   - k e y   l o g s t a s h . k e y   - o u t   l o g s t a s h . c s r o p e n s s l   x 5 0 9   - r e q   - i n   l o g s t a s h . c s r   - C A   c a . p e m   - C A k e y   c a . k e y   - C A c r e a t e s e r i a l   - o u t   l o g s t a s h . c r t   - d a y s   3 6 5 0   - s h a 2 5 6
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理